Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.DownLoader.860.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) src.r####.com.####.com:80
- TCP(HTTP/1.1) pat.f####.com.####.net:80
- TCP(HTTP/1.1) dc.l####.com:80
- TCP(HTTP/1.1) v2.90####.com:80
- TCP(HTTP/1.1) mv.iall####.com:80
- TCP(HTTP/1.1) sdk.c####.com:80
- TCP(HTTP/1.1) a####.3k7.net:80
- TCP(HTTP/1.1) api.mag####.com:80
- TCP(TLS/1.0) an####.l####.com:443
- TCP(TLS/1.0) et2-na6####.wagbr####.ali####.####.com:443
Запросы DNS:
- a####.3k7.net
- an####.l####.com
- api.car####.com
- api.mag####.com
- dc.l####.com
- mv.iall####.com
- pat.f####.com
- plb####.u####.com
- sdk.c####.com
- src.r####.com
- u####.u####.com
- v2.90####.com
Запросы HTTP GET:
- a####.3k7.net/?service=####&versionCode=####
- api.mag####.com/api/app/video/ver2/sys/queryBannerList/2/286?plateId=###...
- api.mag####.com/api/app/video/ver2/user/clickPlayVideo_2_2/2/286?time=##...
- api.mag####.com/api/app/video/ver2/video/columnNewPage/2/286?plateId=###...
- api.mag####.com/api/app/video/ver2/video/queryVideoInfoRank/2/286?time=#...
- api.mag####.com/api/app/video/ver2/video/searchUserShouldLike/2/286?vide...
- api.mag####.com/api/app/video/ver2/video/searchVideoByPage_v2_2/2/286?ti...
- api.mag####.com/api/app/video/ver2/video/searchVideoInfoDetail_v2_2/2/28...
- mv.iall####.com/mahua/img/20190121/24/2d66f1635038ccda168106bad8b863.jpg
- mv.iall####.com/mahua/img/20190125/a7/6efaaeab3144216fab6b56a9e1ce8a.jpg
- mv.iall####.com/mahua/img/20190126/20/9d08f3d5467cfe1559c87816e151a8.jpg
- mv.iall####.com/mahua/img/20190227/07/d6d3c304cb779b0338645f21ffeca0.jpg
- mv.iall####.com/mahua/img/20190319/b0/b92d9aff94834bb0f4c14165b32a11.jpg
- mv.iall####.com/mahua/img/20190328/1a/c216b68c3c2cc7800fa4f9be2ca2d2.jpg
- mv.iall####.com/mahua/img/20190328/95/03e58edf33c88163c01a02a4da7e22.jpg
- mv.iall####.com/mahua/img/20190329/22/7575ffca76ed992dbc65c9a1708e5f.jpg
- mv.iall####.com/mahua/img/20190329/c4/47137a56a274da6656a96c1f9b03da.jpg
- mv.iall####.com/mahua/img/20190329/e8/d8f9a07caa91a5906c3796976b0f05.jpg
- mv.iall####.com/mahua/m_img/m_20180823_1570/m_20180823_1570.jpg
- mv.iall####.com/mahua/m_img/m_20180925_2931/m_20180925_2931.jpg
- mv.iall####.com/mahua/m_img/m_20181026_4503/m_20181026_4503.jpg
- mv.iall####.com/mahua/m_img/m_20181105_4935/m_20181105_4935.jpg
- mv.iall####.com/mahua/m_img/m_20181121_5625/m_20181121_5625.jpg
- mv.iall####.com/mahua/m_img/m_20181121_5626/m_20181121_5626.jpg
- mv.iall####.com/mahua/m_img/m_20181121_5627/m_20181121_5627.jpg
- mv.iall####.com/mahua/m_img/m_20181121_5628/m_20181121_5628.jpg
- mv.iall####.com/mahua/m_img/m_20190106_7915/m_20190106_7915.jpg
- pat.f####.com.####.net/uploads/picture/2016/01/04/1546589723.jpg
- src.r####.com.####.com/kubo/dex/luomi_9.1.24.dex
- v2.90####.com/mahua/m_video/m_20181121_5627/84351/dd3b542c3d1f9c33015978...
Запросы HTTP POST:
- dc.l####.com/adLogs/adLog
- dc.l####.com/startLog/startLog
- dc.l####.com/wLog/wLog
- sdk.c####.com/getsiteapi.php
- sdk.c####.com/sdkallapi.php
- sdk.c####.com/sdkapi.php
- sdk.c####.com/versiontapi.php?v=####&type=####
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.imprint
- /data/data/####/0882b247a00cb28d6304eda72e06d2337a354a34ac9fdc8....0.tmp
- /data/data/####/11af83fab98a5f328e791aaccdb407aefcc481c2a6ee455....0.tmp
- /data/data/####/3b6dddf9b831b257e17f5be63c18eab5256ab7266056131....0.tmp
- /data/data/####/424aee0502c943a2f635d50434e41fd09a95ee2d592e9ae....0.tmp
- /data/data/####/5171b1b482c8b24be4d84139e32d762b5ef54f74e40b803....0.tmp
- /data/data/####/57e6db8cbadf0b5bf849e0d85d3cc5dd95062c556261329....0.tmp
- /data/data/####/61ed5b235bbd30f9542cd4b938b131a635ee9156e084df3....0.tmp
- /data/data/####/6521725a4c79e4e0b03c937e1614c8382885d7eacec2e8b....0.tmp
- /data/data/####/6e1f5f21e8839d1598542bd65b47cae35b4facccf57c995....0.tmp
- /data/data/####/772cc90766f875fb1e1afc9113072a10339fa12ea39a2ad....0.tmp
- /data/data/####/7a4ef1584118bd428d1ae8f1c6a26b03e0525f176fee2f0....0.tmp
- /data/data/####/80b2192c1ea8f13d568af00152a22e4c238483f24c698c9....0.tmp
- /data/data/####/8fa05a357e00319247079004a69ac9854792d9e2ccb638d....0.tmp
- /data/data/####/MultiDex.lock
- /data/data/####/UM_PROBE_DATA.xml
- /data/data/####/a804a055cb190e6cd361c3bac64f69955241cd01d9a9c69....0.tmp
- /data/data/####/ax_c.xml
- /data/data/####/c040ac10323ecff75402e130819b82a7541d81264261e43....0.tmp
- /data/data/####/cdf2892d0cc5d33099a7d5893f195b88cc9a2586357c27a....0.tmp
- /data/data/####/dW1weF9pbnRlcm5hbF8xNTU0MjI1ODAxMTQ2;
- /data/data/####/dW1weF9pbnRlcm5hbF8xNTU0MjI1ODM0NDIw;
- /data/data/####/db253741dced0e8edb7d6878b785bcbe0771410549e688f....0.tmp
- /data/data/####/e15841a1957b1f04a36b7f3ae9532c66b978ac2e5993744....0.tmp
- /data/data/####/e167ea5581fba9812e6a1e77636bb26e6bf9afa973eb782....0.tmp
- /data/data/####/exchangeIdentity.json
- /data/data/####/exid.dat
- /data/data/####/f2f1068675d5a057ee2e07d3a27ddf12243ad7bd128d9cb....0.tmp
- /data/data/####/gg.dex
- /data/data/####/i==1.2.0&&1.2.01_1554225801151_envelope.log
- /data/data/####/i==1.2.0&&1.2.01_1554225834455_envelope.log
- /data/data/####/info.xml
- /data/data/####/journal.tmp
- /data/data/####/libexec.so
- /data/data/####/log-manager.xml
- /data/data/####/mc177.dex
- /data/data/####/mc_cache.xml
- /data/data/####/multidex.version.xml
- /data/data/####/t==8.0.0&&1.2.01_1554225801786_envelope.log
- /data/data/####/ua.db
- /data/data/####/ua.db-journal
- /data/data/####/um_pri.xml
- /data/data/####/umdat.xml
- /data/data/####/umeng_common_config.xml
- /data/data/####/umeng_common_location.xml
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_it.cache
- /data/media/####/.a.dat
- /data/media/####/.adfwe.dat
- /data/media/####/.cca.dat
- /data/media/####/.umm.dat
- /data/media/####/sysid.dat
Другие:
Запускает следующие shell-скрипты:
- /system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
- /system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_min_freq
- getprop ro.product.cpu.abi
- ls /
- ls /sys/class/thermal
- sh -c cat /proc/2269/wchan
- sh -c cat /proc/2595/wchan
Загружает динамические библиотеки:
- libexec
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS7Padding
- AES-ECB-PKCS5Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS7Padding
Осуществляет доступ к приватному интерфейсу ITelephony.
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о местоположении.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Отрисовывает собственные окна поверх других приложений.
